AB Uzmanları, AB Web Sitelerinin %97’sinin GDPR Gizlilik Gereksinimlerini Karşılamadığını Tahmin Ediyor – Özellikle Kullanıcı Profili Oluşturma

Araştırmacılar, ABD’de makine öğrenimi tekniklerini kullanarak AB’de bulunan binin üzerinde temsil edilen web sitesinin GDPR gizlilik politikalarını incelemişlerdir. Çalışmada, incelenen sitelerin %97’sinin en az bir GDPR gereksinimine uymadığını ve özellikle kullanıcı profili oluşturma konusundaki düzenleyici gereksinimlere uymadıklarını bulmuşlardır.

Makalede denir:

‘[Çünkü] gizlilik politikası, kullanıcıların gizliliklerini anlamak ve kontrol etmek için temel iletişim kanalıdır, birçok şirket GDPR yürürlüğe girdikten sonra gizlilik politikalarını güncellemiştir. Ancak çoğu gizlilik politikası detalı, jargondan oluşmaktadır ve şirketlerin veri uygulamaları ile kullanıcı haklarını belirsiz bir şekilde tanımlamaktadır. Bu nedenle, GDPR’ye uyup uymadıkları belli değildir.’

Devam eder:

‘Sonuçlarımız, GDPR yürürlüğe girdikten sonra bile, web sitelerinin %97’sinin hala en az bir GDPR gereksinimine uymadığını göstermektedir.’

Çalışma bağlantıda bulunabilir ve GDPR Gizlilik Politikalarında Derin Etkin Öğrenme Kullanılarak Otomatik Olarak Gizlilik Bildirimi Gereksinimlerinin Tespiti başlığını taşımaktadır. Çalışma, Charlottesville’deki Virginia Üniversitesi’nden üç araştırmacı tarafından yapılmıştır.

Gizlilik Son

Uyumun en az olduğu alan, çalışmaya göre, GDPR’nin kullanıcı profili oluşturma konusundaki düzenlemelerdi. Araştırmacılar, yalnızca %15,3’lük bir oranda sitenin bu özel kurala tamamen uymuş olduğunu belirtmiştir.

Araştırmada incelenen web sitelerinin uyumluluk grafiği. Kaynak: https://arxiv.org/pdf/2111.04224.pdf

Kullanıcı profili oluşturma (bir kişinin web siteleriyle etkileşiminin kaydedilmesi ve genellikle diğer çevrimiçi bağlamlarda, örneğin reklamcılıkta hedeflenmesi) Cambridge Analytica skandalı之后 teknoloji dünyasının en sıcak tartışma konularından biri haline gelmiştir.

Salı günü, Avrupa Parlamentosu’nun bir komitesi ilk aşamasını yeni Dijital Pazarlar Yasası (DMA) yasasını kabul etti. Bu yasa, küresel yıllık satışlarının %20’sine kadar ceza uygulanmasını öngören, küçüklerin davranışsal hedeflemesini yasaklayacaktır.

Yasa, Facebook ve Google gibi teknoloji devlerinin artan etkisine karşı doğrudan bir yanıt olarak görülmekle birlikte, yeni araştırmada ortaya çıkan uyumsuzluk ölçeği, AB şirketlerinin (Avrupa’da faaliyet gösteren Amerikan şirketlerinin AB’deki ofisleri dahil) büyük çoğunluğunun GDPR cezalarına karşı yasal olarak savunmasız olduğunu göstermektedir.

Ek olarak, İtalya bu hafta, kullanıcı profili oluşturma da dahil olmak üzere diğer ihlaller nedeniyle Apple ve Google’a karşı en yüksek müeyyide olan 10 milyon avro (11,2 milyon dolar) ceza uygulamıştır.

Veri

Araştırmada incelenen siteler, Quantcast’taki en üst düzey 10.000 web sitesinden örneklenmiştir. İngilizce gizlilik politikaları, UK merkezli VPN’ler üzerinden Yandex aramaları yoluyla çıkarılmıştır (bu, politikaların coğrafi olarak engellenmediğinden emin olmak için yapılmıştır).

AB web siteleri, Mayıs 2018’de yürürlüğe giren Genel Veri Koruma Yönetmeliği (GDPR) kapsamında, 18 temel gereksinimi kapsayan zorunlu gizlilik politikaları sunmak zorundadır (yukarıdaki grafikte görüldüğü gibi).

Araştırmacılar, gizlilik politikalarının çıkarılmasını, GDPR’nin yürürlüğe girdiği 2018 Ağustos ayından sonraki bir döneme sınırlamışlardır. Bu, alan adlarının gerekli politikaları yayınlamak için makul bir süreye sahip olmalarına olanak tanımıştır (zira GDPR’nin iki yıllık geliştirme aşamasında en az bir yıl önce bu gereksinimden haberdar olmuşlardır).

Filtreleme süreci, 9.761 politika içeren bir gizlilik korpusu üretmiştir. Araştırmacılar, bu korpusun içinden 1.080 politikayı rastgele seçmiştir.

Ön İşleme

Ekibin iki yasal uzman, dört insan annotatörü, GDPR tarafından belirlenen 18 olası gizlilik politikasını etiketlemek için eğitti.

Politikalardaki bazı yasal diller, 18 gereksinimden birden fazlasını kapsıyordu. Bu nedenle, her politika ile ilişkili dil özelliklerini tespit etmek için Karma Sinir Ağı (CNN) kullanıldı.

İlk olarak, dil özelliklerine dayalı bir modeli eğitmek için %80,5’lik bir başarı elde edildi. Sonuçları iyileştirmek için, araştırmacılar daha az etiketli veri kullanarak modelin performansını artırmak için Etkin Öğrenme uyguladı. Bu sayede, sınıflandırıcı CNN %89,2’lik bir doğruluk oranıyla ve 0,88’lik bir F1 puanıyla eğitilebildi.

Word embedding’lerin gizlilik politikalarına özgü olmasını sağlamak için, araştırmacılar Facebook’un FastText Python kütüphanesini kullanarak denetimli bir word embedding modeli eğitti.

Standart uygulamaya uygun olarak, son veriler %80-%20 oranında eğitim verisi ve test verisi olarak bölündü (yani, algoritmanın doğruluğunu değerlendirmek için rastgele seçilen veriler). İnsan-merkezli bir ölçüm çalışması, sonuçların kalitesini değerlendirmek için mimariye eklendi.

Sınıflandırıcı sisteminin mimarisi.

İş akışı sırasında, dört yasal uzman tarafından eğitilen dört insan annotatörü tarafından 11.271 insan tarafından etiketlenmiş gizlilik politikası segmenti üretildi. Her bir segment, anlaşmazlık durumunda veri setinden reddedilmemek için %75 oranında bir anlaşma gerektiren dört insan annotatörü tarafından incelendi.

İnsanlar-döngüde – politika verilerini tamamen otomatikleştirmek mümkün değildi, ancak Etkin Öğrenme, projeyi mümkün kılan bir havuz tabanlı iş akışı sağladı.

Araştırmacılar, ayrıca, taşıma hakkının (şirketler tarafından tutulan verilerin aktarılması veya ihracatı) neredeyse profilleme kadar kötü bir şekilde karşılandığını bulmuşlardır.

Araştırmacılar kếtüller:

‘[Gereksinimler] gibi kullanıcıların Veri Taşımama Hakkı ve Veri Koruma Memuru (VKM) iletişim bilgilerinin sağlanması, sırasıyla %15,5 ve %16,4 web sitesi tarafından karşılanmaktadır. Diğer temel gereksinimler, kullanıcıların Şikayette Bulunma Hakkı, Onayını Geri Çekme Hakkı, İtiraz Hakkı ve Uygunluk Kararı, %17-20 web sitesi tarafından karşılanmaktadır.’

ve devam eder:

‘Sadece %3’lük bir web sitesi 18 gereksinimi tamamen karşılamaktadır. Bu bulgular, birçok web sitesinin hala GDPR gereksinimlerine uymadığını göstermektedir.’

19:00 26/11/2021 – İlk grafik açıklaması düzeltildi. – MA